Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 15:48

CVE-2026-57569 Variante de SSRF en Photo::fromUrl de Lychee por falta de fijación de IP tras la validación DNS

En Lychee anterior a 7.6.0, el flujo POST /api/v2/Photo::fromUrl valida el hostname y sus direcciones resueltas, pero luego pasa el hostname original a una conexión fopen separada. Un atacante autenticado que controle respuestas DNS puede hacer que la validación vea una dirección pública y la descarga posterior resuelva el mismo hostname a una dirección privada o prohibida, evadiendo las protecciones de SSRF y alcanzando servicios accesibles desde el servidor de Lychee. Se corrige en la versión 7.6.0.

2.3BAJA

CVSS 4.0

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • LycheeOrg Lychee

    < 7.6.0

Qué hacer

  1. Verificá si usás Lychee y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 2.3 BAJA

CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:L

  • Vector de ataqueRed
  • Complejidad del ataqueAlta
  • Requisitos del ataquePresentes
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Baja
  • Disponibilidad (sistemas posteriores)Baja

Descripción original

Lychee is a free, open-source photo-management tool. Prior to 7.6.0, the POST /api/v2/Photo::fromUrl flow validates a hostname and its resolved addresses in app/Rules/PhotoUrlRule.php but later passes the original hostname through app/Actions/Import/FromUrl.php to app/Image/Files/DownloadedFile.php for a separate fopen connection. An authenticated attacker who controls DNS responses can cause validation to observe a public address and the subsequent fetch to resolve the same hostname to a private or otherwise forbidden address. This DNS rebinding time-of-check to time-of-use mismatch bypasses the intended server-side request forgery protections and can reach services available from the Lychee server, subject to deployment and TLS behavior. This issue is fixed in version 7.6.0.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.